ZONE.CI 全球网

LangflowCVE-2026-33017RCE漏洞正被攻击者利用，在公网暴露的实例上部署加密货币挖矿组件。该事件表明AI工具链已成为攻击目标，企业应排查暴露实例、升级修复版本、收缩访问面并检查云资源异常。建议将AI工具链纳入安全基线，避免将实验环境视为生产风险豁免区。

深信服运维安全管理系统portal\\_login接口存在远程命令执行漏洞，未经身份验证的攻击者可利用该漏洞在服务器端执行任意代码、写入后门并获取服务器权限，利用难度较低。建议受影响的用户立即关闭互联网暴露面或设置访问权限，并升级至安全版本。可使用nuclei或afrog等工具进行自查。

安全研究团队通过逆向分析发现ClaudeCode2.1.196版本客户端自2026年4月起内置隐蔽采集逻辑，当用户配置非官方API代理时，会通过特殊Unicode撇号字符和日期分隔符差异，在系统提示词中隐写嵌入网关归属、是否国内AI厂商、所处时区三类识别信息，服务端可精准提取标记以实现监控，该行为未公开说明且不受遥测开关控制，引发对开发工具透明度的质疑

谷歌AI金融信息服务GoogleFinance正式结束测试并推出移动应用，新增智能投资组合功能。该服务支持自然语言指令查询持仓与市场动态，允许上传CSV/PDF文档或券商截图自动生成投资仪表盘。用户可设置自定义研究任务，通过移动应用接收个性化简报推送，未来将逐步迁移网页版功能至移动端。

安全研究员发布针对CVE-2026-24294的概念验证(PoC)，该漏洞利用WindowsServer2025通过任意TCP端口建立SMB连接的功能，结合本地SMB服务器与强制认证原语实现NTLM反射，最终通过中继特权认证获取系统权限。研究揭示Microsoft对CVE-2025-33073的修复存在局限性，建议防御方及时修补、强制SMB签名、减少NTLM使用并监控非标准端口流量。

OSRC于2025年7月15日更新业务系数规则，将业务划分为极高至低四个系数等级。同时大幅提升互联网业务漏洞奖励，最低奖励提至3.5万元，最高提至8万元。未审核漏洞将按新标准结算。建议白帽关注最新在线文档中的包名与域名归属，及时参与高系数业务测试以获取更高收益。

办公智能设备如碎纸机、打印机等正成为黑客入侵新突破口，通过弱口令、固件漏洞、供应链植入等手段窃取数据。央视披露碎纸机植入扫描芯片窃密案例，IDC报告显示入侵事件同比增长124%。防范需建立全生命周期安全体系，包括网络隔离、安全配置、定期巡检等。

本文推荐六个开源项目帮助AI获取网络信息：OpenCLI复用登录态抓取社交平台内容，Web-Access提供多工具集，firecrawl和crawl4ai抓取公开网站，browser-use实现浏览器自动化，markitdown转换文件为markdown。建议组合使用覆盖80%场景。

火绒安全在建党节发布宣传文章，强调不忘初心、砥砺前行。公司成立于2011年，专注终端安全领域，提供专业、干净、轻巧的安全产品，并对外赋能反病毒引擎技术。企业版产品针对内外网脆弱环节，提升兼容性与易用性，实现威胁可视化与管理轻便化，保护企业信息安全。

国家安全机关披露境外间谍利用违规弹窗广告窃取隐私，火绒安全借此推出弹窗拦截工具。文章详细介绍火绒个人版与企业版的截图拦截、窗口记录等核心功能，建议用户开启该工具拦截恶意弹窗，防范信息泄露与网络渗透风险，筑牢终端安全防线。

中国电信安全于2026年7月1日发布红心向党网安护航主题文章，强调网络安全与党建结合，提升安全意识。

中国电信天翼安全在苏州举办2026年添翼计划安全产品交付运营培训班第二期，聚焦云镜主机安全、云脉SASE及自研网关等核心产品。通过理论与实操集训，53名学员提升了独立交付与运营能力，旨在减少外部依赖以支撑业务发展，并要求将标准化交付流程落地一线。

天翼安全科技在北京举办AI加安全训练营，对62名一线销售与方案经理进行赋能。培训采用理论加实操模式，聚焦安全大脑、云脉SASE等核心产品，涵盖攻防沙盘与情报实操，旨在提升营销能力。后续将派专家团队下沉一线挖掘商机。本文属企业内部培训宣发，无实质技术深度。

叠纸游戏宣布取消《恋与深空》新男主敖尹上线并承诺不再推出新男主。OpenAI研发新方案可将推理成本减半。英伟达在华启动机器人人才招聘聚焦具身智能等方向。苹果通过DMCA投诉清除iPhone18Pro泄露素材。DeepSeek因看到Claude能力决定融资74亿美元。月之暗面估值涨至315亿美元。Arena商业评测服务收入突破1亿美元。伯恩斯坦上调闪迪目标价。OpenAI将推出Codex联名键盘。宝马发布第五代X5。微软推出AnthropicClaude云服务。中国大学停招众多语言专业。

本文深度解析日本电商ZOZO如何利用ClaudeAIAgent重构SOC运营。核心模式为AI初筛加人工复核，Claude扮演一级分析师，通过工具调用自主完成告警分析、信息收集和报告生成。实践表明该方案显著提升告警处理效率、缩短响应时间并降低误报处理成本。文章同时坦诚讨论了幻觉、工具权限边界等挑战，并指出人机协作是当前更稳健的路径。

该文档介绍了一款名为`等保文档整理skill`的安全工具，其主要功能是自动扫描指定文件夹内的文档（支持.docx、.pdf等多种格式），提取文档名称和内容摘要，并生成Excel格式的汇总清单，旨在帮助用户高效整理等级保护测评所需的安全管理文档，提升合规工作效率。

本文主要涵盖了近期网络安全领域的多项重要动态。首先，两项网信新规于7月起陆续落地，分别对网络安全标识及AI拟人化互动服务进行专项监管。其次，工信部预警了新型恶意软件RemcosRAT7.2.1Pro，其利用内存加载技术提升了防御难度。此外，研究发现超50亿设备因AirDrop与QuickShare协议存在高危漏洞而面临风险。在安全事件方面，Microsoft下架了119个恶意Edge扩展，同时Aflac日本公司因第三方外包服务商漏洞导致438万名客户数据泄露。攻防领域则揭示了AI编程代理存在结构性缺陷，可

本文汇总了ApacheTomcat常见安全漏洞，包括示例目录泄露、弱口令、后台getshell及AJP任意文件读取包含漏洞(CVE-2020-1938)。文章提供了资产测绘语法、漏洞复现步骤、利用工具及修复建议，强调弱口令可导致服务器被控制，AJP漏洞影响广泛需及时更新版本。

该文档分析了一个AI协作平台中因连接器共享功能设计缺陷导致的权限提升漏洞。低权限用户可创建指向攻击者服务器的共享连接器，当管理员与之交互并输入Bearer令牌时，平台后端会自动将凭证转发至攻击者控制的端点，导致管理员账户被盗用。漏洞根源在于缺乏信任验证与凭证转发控制。建议限制共享连接器创建权限、实施审批流程、防止凭证自动转发并添加安全警告。

文章庆祝中国共产党成立105周年，强调纪念意义，无技术内容或可操作建议。

美国国家标准与技术研究院（NIST）宣布设立量子制造工程中心（QMEC），计划投资2000万美元以攻克低温系统、激光器等关键部件制造技术，加速量子传感、通信、计算等领域的产业化应用。欧盟理事会批准《人工智能法案》修订法规，新增对生成特定不当内容的禁令并推迟部分规则适用期限。美国商务部解除对AI模型AnthropicFable和Mythos的出口管制。Visa、万事达等机构联合推出美元稳定币OpenUSD。英国央行官员提出代理式AI或需监管改革。日本与印度计划发表AI合作联合声明。此外，美国麻省理工学院研发

本文以新时代中美战略竞争为研究对象，围绕稳局控险与底线思维，从国际格局、双边互动、历史经验与政策选择四个维度分析中美风险管控逻辑。文章指出2026年5月特朗普访华确立建设性战略稳定关系新定位，强调通过常态化战略沟通、制度化危机管控与多元化利益融合机制，在竞争背景下维持互动底线、保留合作空间，实现良性竞合。

USRC在2026年7月举办夏日探宝营活动，鼓励白帽子提交银联产权域名漏洞。活动提供额外兑换币奖励和新人礼品，但有限制条件如漏洞类型和数量。

RedAmon是一款开源攻击性安全平台，将资产侦察、漏洞利用、后渗透操作、AI漏洞分级研判与自动化代码修复整合为端到端流水线，最终可自动生成附带修复代码的GitHub合并请求。其核心基于Docker容器化架构，通过六大模块和自主AI智能体实现并行化安全测试，并内置人机协同机制与目标防护功能，兼容主流大模型。

近期研究表明AI编码代理存在代理劫持(agentjacking)风险，攻击者通过在公共漏洞追踪服务植入虚假错误报告，诱使ClaudeCode、Cursor等AI代理在开发者机器上执行任意代码，导致凭证窃取、数据泄露等后果。其核心问题在于AI无法区分读取内容与可执行指令，现有安全机制难以检测。建议组织禁用安装脚本、要求代理执行高危操作前需人工批准，并以最小权限原则运行代理，长远需建立代理意图与用户意图的一致性监控机制。